En SSH-nøkkelpassfrase beskytter filen, ikke ruten

En sikkerhetskopidisk fra en gammel bærbar datamaskin inneholder fortsatt en privat SSH-nøkkel, og noen spør om VPN beskytter den. Det gjør det ikke, og det har det aldri gjort. VPN beskytter en vei mellom to nettverk; passfrasen beskytter filen; agenten beskytter en økt som kjører. Tre forskjellige mekanismer, tre forskjellige feilmoduser, og en stjålet kopi bryr seg bare om de to første.

Passfrasen hører til filen

En SSH-nøkkelpassfrase krypterer det private nøkkelmaterialet i ro. Den er ikke kontopassordet som sendes til serveren, og den er ikke legitimasjonen som brukes for å bli med i VPN. Å forveksle dem fører til endringer som ikke håndterer eksponeringen.

OpenSSHs ssh-keygen-håndbok dekker håndtering av passfraser, inkludert bryteren -p som setter en ny passfrase på en nøkkel som allerede finnes.

For en eksisterende nøkkel er kommandoformen enkel, og den skriver filen på nytt:

ssh-keygen -p -f ~/.ssh/id_ed25519

Bruk nøkkeleierens godkjente vedlikeholds- og gjenopprettingsprosess, fordi dette er en skriving, ikke en inspeksjon. Ikke publiser den private filen, og ikke sett en ekte passfrase på en delt kommandolinje. En passfraseendring krypterer ikke en kopi som ble tatt tidligere på nytt. Noter plasseringen til den gamle kopien i saken, slik at eieren kan avgjøre om den skal ødelegges.

En kopi overlever den bærbare datamaskinen og tunnelen

Når en nøkkelfil er kopiert, sier den bærbare datamaskinens aktive VPN-tilkobling ikke lenger noe om den. Det som betyr noe, er hvor godt selve filen er beskyttet, og hvilke servere som fortsatt stoler på den samsvarende offentlige nøkkelen.

Å endre passfrasen på den gjeldende filen berører ikke kopien, og fjerner ikke den samme offentlige nøkkelen fra authorized_keys på en server. Tilbakekalling og nykryptering er separate handlinger.

Så behandle en lekket privat nøkkel som en identitetshendelse, ikke en nettverkshendelse. Fjern eller erstatt den aksepterte nøkkelen gjennom serverne og registreringsprosessen som eier den. Å stoppe VPN begrenser én rute på ett tidspunkt; det er ikke tilbakekalling.

Opplåsing flytter hemmeligheten inn i en agent

En agent holder dekrypterte identiteter for senere autentisering, slik at brukeren ikke skriver passfrasen på nytt for hver tilkobling. Det er en bekvemmelighetsfunksjon med sin egen sikkerhetsgrense.

ssh-agent kan begrense hvor lenge en identitet forblir lastet gjennom -t-alternativet, og en innstilling per identitet kan overstyre den grensen. Velg policyen for agenten du faktisk kjører, i stedet for å anta at en VPN-frakobling glemmer hver lastet nøkkel.

En prosess som kompromitteres etter at nøkkelen er låst opp, er et annet problem enn en stjålet kryptert fil. Videresending av agenten til en annen vert delegerer autentiseringsevnen uten å kopiere nøkkelfilen, så aktiver det bare for et godkjent behov.

List opp hva agenten holder akkurat nå, før og etter en endring:

ssh-add -l

Ubemannede jobber trenger sin egen plan

En planlagt jobb kan ikke svare på en forespørsel. Den trenger en godkjent ordning for maskinlegitimasjon, og å holde opplåsingshemmeligheten i samme katalog som nøkkelen, lesbar for samme konto, skaper ikke en andre grense.

Arbeid med tjenesteeieren om støttet hemmelighetslevering eller maskinvarebasert drift, og dekk fornyelse, feil og gjenoppretting. Ønsket om et menneske ved tastaturet endrer hvordan feil ser ut sammenlignet med en vert som starter uten at noen følger med.

Behold også serverens vertsidentitetskontroll og kontobegrensningene. En VPN-rute gir deg en privat vei; den beviser ikke at hver SSH-lytter du når, er verten du hadde tenkt. Registrer lytteren og vertsnøkkelens fingeravtrykk i samme fortegnelse som selve nøkkelen.

Verifiser grensene hver for seg

Test hver grense med sitt eget spørsmål. Åpnes filen uten passfrasen? Holder agenten identiteten etter en frakobling? Godtar serveren fortsatt den offentlige nøkkelen?

To kommandoer svarer på den første og den tredje:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Registrer filbeskyttelse, tillatt nøkkelbruk og fjerning på serversiden som tre separate poster. En tunnel, en passfrase og en agent vokter hver sin del av forholdet, og bare én av dem handler om nettverket.